Network Level Authentication Fehler bei Remote Desktop von Windows 7 Client und Kennwort bei nächsten Anmeldung ändern

Hallo,

ich habe einen Terminalserver (W2k16) auf diesem ist die Option "Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Authentifizierung auf Netzwerkebene ausgeführt wird (empfohlen)" aktiviert. Zusätzlich muss ich beim neu anlegen eines Benutzers im AD die Option "Benutzer muss Kennwort bei der nächsten Anmeldung" setzen.

Meldet sich jetzt der Benutzer von einem Windows 7 Client per RDP an das erste mal an erhält er folgende Meldung:

“Authentifizierungsfehler.
Die lokale Sicherheitsauthorität (LSA) ist nicht erreichbar.
Remotecomputer: xxx.xxx.xxx.xxx
Ursache könnte in abgelaufenes Kennwort sein.
Aktualisieren Sie das Kennwort, wenn es abgelaufen ist.
Wenden Sie sich an den Administrator oder den technischen Support, wenn Sie Unterstützung wünschen.”


Auf dem Windows 7 Client ist folgende RDP Version installiert:
Shellversion 6.3.9600
Steuerelemtentversion 6.3.9600
Authentifizierung auf Netzwerkebene wird unterstützt
Das Remotedesktopprotokoll 8.1 wird unterstützt.

Ich habe den schon den etwas älteren KB2648397 versucht, hat aber auch nicht geholfen.
Der Windows 7 Client befindet sich nicht in der selben Domäne, es besteht auch keine Vertrauensstellung zwischen den Domänen.
Als Workaround lasse ich den User z.Z. von einem Windows 10 Client in der Domäne des TS anmelden, dort kann er sein Passwort ändern, danach funktioniert die Anmeldung vom Windows 7 Client ohne Probleme.

Hat jemand vlt. einen Tipp wie ich das Problem lösen kann, da die User alle 42 Tage Passwort ändern müssen und ich nicht sicher bin ob es hier auch wieder zu diesem Problem kommt?

mfg
bacardi